TR-069 в Микротик. Тестване на Freeacs като сървър за автоматично конфигуриране за RouterOS

В тази статия ще се опитам да опиша стъпка по стъпка процеса на инсталиране на тестов сървър на страхотен проект freeacs до напълно функционално състояние и показва практически техники за работа с mikrotik: конфигуриране чрез параметри, изпълнение на скрипт, актуализиране, инсталиране на допълнителни модули и др.

Целта на статията е да накара колегите да се откажат да управляват мрежови устройства с помощта на ужасни гребла и патерици, под формата на самописни скриптове, Dude, Ansible и т.н. И по този повод да предизвикат фойерверки и масови веселби в квадрати.

0. Изборът

Защо freeacs, а не genie-acs, споменат в mikrotik-wikiколко по-жив?
Защото има испански публикации за genie-acs с mikrotik. Ето ги и тях PDF и видео от миналогодишната MUM. Автоматичните карикатури на слайдове са готини, но бих искал да избягам от концепцията за писане на скриптове, за изпълнение на скриптове, за стартиране на скриптове...

1. Инсталиране на Freeacs

Ще инсталираме в Centos7 и тъй като устройствата предават много данни и ACS активно работи с базата данни, няма да сме алчни с ресурси. За удобна работа ще изберем 2 CPU ядра, 4GB RAM и 16GB бързо съхранение на ssd raid10. Ще инсталирам freeacs в контейнера Proxmox VE lxc и можете да работите с всеки удобен за вас инструмент.
Не забравяйте да зададете правилното време на машината с ACS.

Системата ще бъде тестова, така че нека не сме умни и просто да използваме любезно предоставения инсталационен скрипт, както е.

wget https://raw.githubusercontent.com/freeacs/freeacs/master/scripts/install_centos.sh
chmod +x install_centos.sh
./ install_centos.sh

Веднага след като скриптът приключи, можете незабавно да влезете в уеб интерфейса чрез ip на машината, с идентификационни данни admin/freeacs

Ето такъв хубав минималистичен интерфейс и колко готино и бързо се оказа всичко

2. Първоначална настройка на Freeacs

Основната единица за управление на ACS е единицата или CPE (Customer Premises Equipment). И най-важното, това, от което се нуждаем, за да управляваме единици, е техният тип единица, т.е. хардуерен модел, който дефинира набор от конфигурируеми параметри за единица и нейния софтуер. Но въпреки че не знаем как да стартираме правилно нов тип единица, най-добре би било да попитате самата единица за това, като включите режима за откриване.

В производството този режим е абсолютно невъзможен за използване, но трябва да стартираме двигателя възможно най-скоро и да видим възможностите на системата. Всички основни настройки се съхраняват в /opt/freeacs-*. Затова отваряме

 vi /opt/freeacs-tr069/config/application-config.conf 

, намираме

discovery.mode = false

и сменете на

discovery.mode = true

Освен това бихме искали да увеличим максималните размери на файловете, с които nginx и mysql ще работят. За mysql добавете реда към /etc/my.cnf

max_allowed_packet=32M

, а за nginx добавете към /etc/nginx/nginx.conf

client_max_body_size 32m;

към секцията http. В противен случай ще можем да работим с фърмуер не повече от 1M.

Рестартираме и сме готови за работа с устройства.

А в ролята на уреда (CPE) ще имаме бебе работохолик hAP AC lite.

Преди тестова връзка е препоръчително ръчно да конфигурирате CPE до минималната работна конфигурация, така че параметрите, които искате да конфигурирате в бъдеще, да не са празни. За рутер можете минимално да активирате dhcp клиент на ether1, да инсталирате пакета tr-069client и да зададете пароли.

3. Свържете Mikrotik

Желателно е да свържете всички модули с валиден сериен номер като логин. Тогава всичко ще ви е ясно в логовете. Някой съветва да използвате WAN MAC - не вярвайте. Някой използва обща двойка вход/пропуск за всички - заобиколете ги.

Отваряне на журнала tr-069 за наблюдение на "преговорите"

tail -f /var/log/freeacs-tr069/tr069-conversation.log

Отворете winbox, елемент от менюто TR-069.
AC URL: http://10.110.0.109/tr069/prov (заменете с вашето IP)
Потребителско име: 9249094C26CB (копирайте серийния номер от system>routerboard)
Парола: 123456 (не е необходима за откриване, но трябва да бъде)
Ние не променяме интервала на периодично информиране. Ние ще издадем тази настройка чрез нашия ACS

По-долу са настройките за отдалечена инициализация на връзката, но не успях да накарам mikrotik да работи с него с един замах. Въпреки че отдалечената заявка работи веднага с телефони. Ще трябва да го разбера.

След натискане на бутона Приложи, данните ще се обменят в терминала, а в уеб интерфейса на Freeacs можете да видите нашия рутер с автоматично създаден тип единица "hAPaclite".

Рутерът е свързан. Можете да разгледате автоматично генерирания тип единица. Ние отваряме Easy Provisioning > Unit Type > Unit Type Overview > hAPaclite. Какво ли няма! До 928 параметъра (шпионирах черупката). Много или малко - ще разберем по-късно, но засега ще хвърлим бърз поглед. Това означава тип единица. Това е списък с поддържани опции с ключове, но без стойности. Стойностите са зададени в нивата по-долу - Профили и Единици.

4. Конфигурирайте Mikrotik

Време е за изтегляне ръководство за уеб интерфейс Това ръководство за 2011 г. е като бутилка добро, отлежало вино. Нека го отворим и го оставим да диша.

И ние, в уеб интерфейса, щракнете върху молива до нашия модул и отидете в режим на конфигуриране на модула. Изглежда така:

Нека анализираме накратко какво е интересно на тази страница:

Блок за конфигурация на единица

• Профил: Това е профилът в рамките на типа единица. Йерархията е следната: UnitType > Profile > Unit. Тоест можем да създаваме например профили hAPaclite > hotspot и hAPaclite > branch, но в рамките на модела на устройството

Блокиране на осигуряване с копчета
Подсказките подсказват, че всички бутони в блока за осигуряване могат незабавно да приложат конфигурацията чрез ConnectionRequestURL. Но, както казах по-горе, това не работи, така че след като натиснете бутоните, ще трябва да рестартирате клиента tr-069 на mikrotik, за да стартирате ръчно предоставянето.

• Freq/Spread: Колко пъти седмично да се доставя конфигурацията ± %, за да се намали натоварването на сървъра и комуникационните канали. По подразбиране струва 7/20, т.е. всеки ден ± 20% и намекни как е за секунди. Засега няма смисъл да се променя честотата на доставка, т.к. ще има допълнителен шум в регистрационните файлове и не винаги очаквано прилагане на настройките

Блок с хронология на осигуряване (последните 48 часа)

• На външен вид историята е като история, но като щракнете върху заглавието, стигате до удобен инструмент за търсене в база данни с регулярен израз и екстри

Блок параметри

Най-големият и важен блок, където всъщност се задават и четат параметрите за това устройство. Сега виждаме само най-важните системни параметри, без които ACS не може да работи с устройството. Но ние помним, че ги имаме в тип единица - 928. Нека да видим всички стойности и да решим с какво се храни Mikrotik.

4.1 Четене на параметрите

В блока за осигуряване щракнете върху бутона Прочетете всички. Блокът е с червен надпис. Вдясно ще се появи колона CPE (текуща) стойност. Променен ProvisioningMode на READALL в системните настройки.

И... няма да се случи нищо освен съобщение в System.X_FREEACS-COM.IM.Message Kick failed at....

Рестартирайте клиента TR-069 или рестартирайте рутера и продължете да опреснявате страницата на браузъра, докато получите параметрите във веселите сиви полета вдясно
Ако някой иска да отпие от старото подправено, този режим е описан в ръководството като 10.2 Режим на проверка. Включва се и работи малко по-различно, но същността е описана доста

Режимът READALL ще се изключи сам след 15 минути и ще се опитаме да разберем какво е полезно тук и какво може да се коригира в движение, докато сме в този режим.

Можете да промените IP адресите, да активирате / деактивирате интерфейсите, правилата на защитната стена, които са с коментари (иначе пълна бъркотия), Wi-Fi и т.н.

Това означава, че все още не е възможно разумно да конфигурирате mikrotik, като използвате само инструменти TR-069. Но можете да наблюдавате много добре. Налични са статистики за интерфейсите и тяхното състояние, свободна памет и др.

4.2 Параметри за доставка

Нека сега се опитаме да доставим параметрите на рутера, чрез tr-069, по "естествен" начин. Първата жертва ще бъде Device.DeviceInfo.X_MIKROTIK_SystemIdentity. Намираме го в параметрите на единицата All. Както можете да видите, не е зададено. Това означава, че всяка единица може сама да има всяка идентичност. Стига търпеше това!
Натискаме черта в колоната за създаване, задаваме името Mr.White и натискаме бутона за актуализиране на параметрите. Какво ще се случи след това, вече се досещате. При следващата комуникационна сесия с централата рутерът трябва да смени самоличността си.

Но това не ни е достатъчно. Параметър като Identity е добре да имате винаги под ръка, когато търсите подходящата единица. Пробваме в името на параметъра и поставяме там квадратчетата за отметка Display (D) и Searchable (S). Ключът на параметъра се променя на RWSD (не забравяйте, че имената и ключовете са зададени на най-високото ниво на тип единица)

Стойността вече не само се показва в общия списък за търсене, но и е достъпна за търсене Support > Search > Advanced form

Ние инициираме предоставянето и разглеждаме идентичността. Здравейте г-н Уайт! Сега няма да можете сами да промените самоличността си, докато tr-069client работи

4.3 Изпълнение на скриптове

Тъй като разбрахме, че без тях не може, нека ги изпълним.

Но преди да започнем да работим с файлове, трябва да коригираме директивата public.url във файл /opt/freeacs-tr069/config/application-config.conf
В крайна сметка все още имаме инсталирана тестова конфигурация с един скрипт. Не сте забравили?

# --- Public url (used for download f. ex.) ---
public.url = "http://10.110.0.109"
public.url: ${?PUBLIC_URL}

Рестартирайте ACS и се насочете направо към Files & Scripts.

Но това, което се отваря при нас, сега принадлежи към Тип единица, т.е. глобално към всички hAP ac lite рутери, независимо дали става въпрос за клон рутер, гореща точка или capsman. Все още не се нуждаем от такова високо ниво, следователно, преди да работите със скриптове и файлове, трябва да създадете профил. Можете да го наречете сами, като "позиция" на устройството.

Нека направим нашето бебе сървър за време. Прилична позиция с отделен софтуерен пакет и малък брой параметри. Хайде да отидем до Easy Provisioning > Profile > Create Profile и създайте профил в Unit Type:hAPaclite сървър за време. Нямахме никакви параметри в профила по подразбиране, така че няма какво да копираме Копиране на параметри от: "не копирай..."

Тук все още няма никакви параметри, но ще бъде възможно да зададем тези, които по-късно искаме да видим на нашите сървъри за време, формовани от hAPaclite. Например общите адреси на NTP сървърите.
Нека да отидем на конфигурацията на единицата и да я преместим в профила на сървъра за време

Накрая отиваме на Files & Scripts, правете скриптове и тук чакаме невероятно удобни кифли.

За да изпълним скрипт на единица, трябва да изберем Тип: TR069_SCRIPT а Име и целево име трябва да има разширение .alter
В същото време за скриптове, за разлика от софтуера, можете или да качите готов файл, или просто да го напишете / редактирате в полето Съдържание. Нека се опитаме да пишем точно там.

И за да можете веднага да видите резултата - добавете vlan рутера към ether1

/interface vlan
add interface=ether1 name=vlan1 vlan-id=1

Караме, натискаме Качи и готово. Нашият сценарий vlan1.alter чакайки часовете си.

Е, да тръгваме? Не. Също така трябва да добавим група за нашия профил. Групите не са включени в йерархията на оборудването, но са необходими за търсене на единици в UnitType или Profile и са необходими за изпълнение на скрипт чрез Advanced Provisioning. Обикновено групите са свързани с местоположения и имат вложена структура. Да направим група Русия.

Представете си, че току-що стеснихме търсенето си от „Всички световни сървъри за време в hAPaclite“ до „Всички руски сървъри за време в hAPaclite“. Все още има огромен пласт от всичко интересно с групите, но нямаме време. Да навлезем в сценариите.

Advanced Provisioning > Job > Create Job

Тъй като все пак сме в Разширен режим, тук можете да посочите куп различни условия за стартиране на задачата, поведение при грешки, повторения и изчаквания. Препоръчвам да прочетете всичко това в ръководствата или да го обсъдите по-късно, когато го внедрите в производството. Засега нека просто зададем n1 на Stop rules, така че задачата да спре веднага щом бъде завършена на нашата 1-ва единица.

Попълваме необходимото и остава само да стартираме!

Натиснете START и изчакайте. Сега броячът на устройствата, убити от недостатъчно дебъгвания скрипт, ще работи бързо! Разбира се, че не. Такива задачи се дават за дълго време и това е тяхната разлика от скриптове, Ansible и т.н. Самите единици кандидатстват за задачи по график или както се показват в мрежата, ACS следи кои единици вече са получили задачи и как са приключили, и записва това в параметрите на единицата. В нашата група има 1 единица и ако имаше 1001 от тях, администраторът ще започне тази задача и ще отиде на риболов

Хайде. Рестартирайте вече рутера или рестартирайте клиента TR-069. Всичко трябва да върви гладко и Mr.White ще получи нов vlan. И нашата задача за правило за спиране ще премине в състояние НА ПАУЗА. Тоест все още може да се рестартира или промени. Ако натиснете FINISH, задачата ще бъде отписана в архива

4.4 Актуализиране на софтуера

Това е много важен момент, тъй като фърмуерът на Mikrotik е модулен, но добавянето на модули не променя цялостната версия на фърмуера на устройството. Нашата ACS е нормална и не е свикнала с това.
Сега ще го направим в стила на бързо и мръсно и веднага ще поставим NTP модула в общия фърмуер, но веднага щом версията се актуализира на устройството, няма да можем да добавим друг модул по същия начин .
В производството е по-добре да не използвате такъв трик и да инсталирате модули, които не са задължителни за тип единица, само със скриптове.

И така, първото нещо, което трябва да направим, е да подготвим софтуерни пакети с необходимите версии и архитектура и да ги поставим на някой наличен уеб сървър. За теста всеки, който може да се свърже с нашия Mr.White, ще отиде, а за производство е по-добре да изградите автоматично актуализиращо се огледало на необходимия софтуер, което не е страшно да се постави в мрежата
важно! Не забравяйте винаги да включвате пакета tr-069client в актуализациите!

Както се оказа, дължината на пътя до пакетите е много важна! Когато се опитам да използвам нещо подобно http://192.168.0.237/routeros/stable/mipsbe/routeros-mipsbe-6.45.6.npk, mikrotik попадна в циклична връзка с ресурса, изпращайки многократни TRANSFERCOMPLETE регистрационни файлове към tr-069. И похабих малко нервни клетки, опитвайки се да разбера какво не е наред. Ето защо, докато го поставим в корена, до изясняване

Така че трябва да имаме три npk файла, достъпни чрез http. Получих го така

http://192.168.0.241/routeros-mipsbe-6.45.6.npk
http://192.168.0.241/routeros/stable/mipsbe/ntp-6.45.6-mipsbe.npk
http://192.168.0.241/routeros/stable/mipsbe/tr069-client-6.45.6-mipsbe.npk

Сега това трябва да бъде форматирано в xml файл с FileType = "1 изображение за надстройка на фърмуера", което ще подадем на Mikrotik. Нека името е ros.xml

Правим според инструкциите от mikrotik-wiki:

<upgrade version="1" type="links">
    <config />
    <links>
        <link>
            <url>http://192.168.0.241/routeros-mipsbe-6.45.6.npk</url>
        </link>
        <link>
            <url>http://192.168.0.241/ntp-6.45.6-mipsbe.npk</url>
        </link>
        <link>
            <url>http://192.168.0.241/tr069-client-6.45.6-mipsbe.npk</url>
        </link>
    </links>
</upgrade>

Липсата е очевидна Username/Password за достъп до сървъра за изтегляне. Можете да опитате да го въведете както в параграф A.3.2.8 от протокола tr-069:

<link>
<url>http://192.168.0.237/routeros/stable/mipsbe/ntp-6.45.6-mipsbe.npk</url>
<Username>user</Username>
<Password>pass</Password>
</link>

Или попитайте директно служителите на Mikrotik, както и за максималната дължина на пътя до * .npk

Отиваме към познатото Files & Scriptsи създайте там СОФТУЕРЕН файл с Име:ros.xml, Име на целта:ros.xml и Версия:6.45.6
внимание! Версията трябва да бъде посочена тук точно във формата, в който се показва на устройството и се предава в параметъра System.X_FREEACS-COM.Device.SoftwareVersion.

Избираме нашия xm-файл за зареждане и сте готови.

Сега имаме много начини да актуализираме устройството. Чрез съветника в главното меню, чрез Advanced Provisioning и задачи с типа SOFTWARE или просто отидете до конфигурацията на модула и щракнете върху Upgrade. Нека изберем най-лесния начин, иначе статията е подута.

Натискаме бутона, инициираме предоставянето и сте готови. Тестовата програма е завършена. Сега можем да направим повече с mikrotik.

5. заключение

Когато започнах да пиша, исках първо да опиша връзката на ip-телефон и да използвам неговия пример, за да обясня колко готино може да бъде, когато tr-069 работи лесно и без усилие. Но след това, докато напредвах и копаех в материалите, си помислих, че за тези, които са свързали Mikrotik, никой телефон няма да бъде страшен за самообучение.

По принцип Freeacs, който тествахме, вече може да се използва в производството, но за това трябва да конфигурирате сигурността, SSL, трябва да конфигурирате microtics за автоконфигуриране след нулиране, трябва да отстраните грешки при правилното добавяне на тип единица, да разглобите работа на уеб услуги и fusion shell и много повече. Опитайте, измислете и напишете продължение!

Всички, благодаря ви за вниманието! Ще се радвам на корекции и коментари!

Списък на използваните материали и полезни връзки:

Тема във форума, на която попаднах, когато започнах да търся по темата
TR-069 CPE WAN Протокол за управление Изменение-6
freeacs wiki
Параметри tr-069 в Mikrotik и тяхното съответствие с командите на терминала

Източник: www.habr.com